副処理者

このページでは、Zenovay（「Zenovay」、「当社」）が分析プラットフォームおよび関連サービスの提供、維持、改善を支援するために使用するサードパーティの副処理者（ベンダーおよびサービスプロバイダー）をリストアップしています。

ここに記載する各副処理者は、当社の指示のみに基づいて個人データを処理すること、これを機密に保つこと、適切なセキュリティ措置を適用すること、およびデータ主体からの請求に協力することを求める書面によるデータ処理条件に基づいて関与しています。当社は、これらのプロバイダーについて独自の独立したセキュリティ監査を実施しておらず、実施したと主張することもありません。プロバイダーが独立した認証または監査報告書を保有している場合、当社はそれを当社のものではなく当該プロバイダーのものとして明示します。

副処理者とは何か

副処理者とは、サービスの提供を支援するためにZenovayが関与するサードパーティのデータ処理者です。これらの副処理者は、以下のような目的で当社に代わって顧客データを処理することがあります。

• ホスティングインフラとコンテンツ配信
• データベース管理とデータストレージ
• 決済処理とサブスクリプション管理
• メール配信とコミュニケーションサービス
• 認証とID管理
• 分析と監視サービス

現在の副処理者

以下の表は、上記の日付時点でZenovayが使用しているすべてのアクティブな副処理者を一覧表示しています。

オプションの副処理者

以下の副処理者は、顧客が特定のオプション機能を有効にした場合にのみ関与します。

データ処理基準

当社がこれらのプロバイダーから受け入れているデータ処理条件は、以下を求めるものです。

• 顧客データを保護するための適切な技術的・組織的セキュリティ措置を維持すること
• Zenovayの文書化された指示に従ってのみデータを処理すること
• GDPR、CCPA、およびその他の関連規制を含む適用されるデータ保護法を遵守すること
• 当該条件の遵守を証明するために必要な情報を提供すること
• データ侵害、セキュリティインシデント、または不正アクセスについてZenovayに速やかに通知すること
• アクセス、削除、ポータビリティ要求を含むデータ主体の要求を支援すること
• 自らが関与させるさらなる副処理者に同等の義務を課すこと
• 指示に従って、サービス終了時に顧客データを返却または削除すること

データ最小化

Zenovayは分析においてデータ最小化を適用しています。言語、ロケール、タイムゾーンの分布といったオーディエンスに関する分析情報は、訪問者のブラウザがすべてのページリクエストとともに既に送信しているリクエストメタデータ（Accept-LanguageヘッダーおよびCDNのタイムゾーン信号）からのみ推測されます。当社は、この目的のために追加のデータを収集せず、クッキーやローカルストレージを設定せず、第三者の人口統計データ補強プロバイダーを使用しません。これらの信号は集計された形で処理され、個人プロファイルの作成に使用されることは一切なく、訪問者がGlobal Privacy Control信号を送信した場合には一切導出されません。

国際的なデータ移転

2026年10月28日以降、Zenovayの主要データベースおよびそのバックアップは、スイス（eu-zurich-1、チューリッヒ）のOracle Cloud Infrastructureでホストされており、ウェブサイト訪問者イベントを保存する分析データベースも2026年10月23日から同所でホストされています。欧州委員会は、スイスが十分なデータ保護水準を提供していると認めています。移行期間中に欧州連合（フランクフルト）のSupabase, Inc.に保管されていた、旧主要データベースの読み取り専用のフォールバックコピーは削除されました。2026年10月29日以降、ファイルは欧州連合（アムステルダム、オランダ）のBackblaze B2に保存されており、2026年10月31日以降は夜間データベースバックアップの暗号化されたコピーも同所に保存されています。当社のその他の副処理者の一部（例：Stripe、Resend、Cloudflare AI Gateway経由のOpenAI）は米国に所在しており、欧州経済領域（EEA）外、EEA諸国と同レベルのデータ保護を提供していない国への個人データの移転を伴う場合があります。

適切性決定のない国へのEEAからの個人データの移転については、以下を通じてコンプライアンスを確保します。

• EU-米国データプライバシーフレームワーク（DPF）/ スイス-米国DPF： EU-米国およびスイス-米国データプライバシーフレームワークの下で認証された米国を拠点とする副処理者については、DPFを有効な移転メカニズムとして利用します（2023年7月10日の欧州委員会の適切性決定）。
• 標準契約条項（SCC）： DPFの下で認証されていない副処理者との間で、または追加の保護措置として欧州委員会が承認した標準契約条項（決定2021/914）を使用します。
• データ処理契約（DPA）： 各副処理者は、上記の保護措置を含む書面によるデータ処理条件に基づいて関与しています。
• 適切性決定： 該当する場合、特定の国についての欧州委員会が発行した適切性決定に依拠します。
• 補完的措置（Schrems II）： 転送中の暗号化、保存するプロバイダーによる保存時の暗号化、アクセス制御、およびデータ最小化。これにより、EEA域外のプロバイダーは、それぞれの特定の機能に必要なものだけを受領します。

このリストの更新

Zenovayは、ビジネスニーズの変化、技術の変更、またはサービスの改善に伴い、副処理者を随時追加、削除、または変更することがあります。

副処理者に変更を加える場合、当社は：

• このページを現在の副処理者リストで更新します
• このページ上部の「最終更新日」を更新します
• 新しい副処理者を追加する前に少なくとも30日前に有料顧客に事前通知を提供します
• 副処理者の重要な変更について有料顧客にメールで通知します
• 合理的なデータ保護上の理由に基づく新しい副処理者への異議申し立て権を有料顧客に提供します

現在の副処理者について最新情報を把握するために、このページを定期的に確認することをお勧めします。副処理者の更新に関するメール通知をサブスクライブすることもできます。

お客様の権利

Zenovayの顧客として、お客様には以下の権利があります。

• 副処理者とそのデータ処理活動に関する情報を要求する権利
• 合理的なデータ保護上の理由に基づき、当社の通知から10日以内に書面により、新しい副処理者に異議を唱える権利（データ処理契約のセクション5.3に定めるとおり）
• 特定の副処理者にどのデータ保護条項が適用されるかを問い合わせ、当社が共有を許可されている範囲において当該条項またはその要約を受け取る権利
• データ処理契約のセクション8に定める監査メカニズムを通じて当社のコンプライアンスを検証する権利（プロバイダーの認証および報告書、年次質問票、ならびに例外的な状況においては合理的な予告のうえお客様の費用による監査）
• お客様が合理的に異議を唱えた副処理者について、当社が商業的に合理的な代替手段を提供できない場合に、影響を受けるサービスを解約する権利

特定のデータ処理要件を持つEnterprise顧客は、カスタマイズされたデータ処理の取り決めについて当社にお問い合わせいただけます。

連絡先情報

副処理者、データ処理慣行についてご質問がある場合、または副処理者の更新通知をサブスクライブしたい場合は、お問い合わせください。